Splunk map命令传递多值时yy字段为空问题排查与解决

问题原因 #

你遇到的yy字段为空，核心问题出在map命令的执行逻辑上：

• map命令会用原始搜索的每一行触发一次子搜索，但默认只会返回子搜索的结果，原始搜索中提取的yy字段不会自动保留到最终结果里。
• 你当前写法中，eval temp_xx="$xx$"和eval temp_yy="$yy$"是写在map命令之外的，此时map已经覆盖了原始行的字段，这两个eval根本拿不到原始的yy值，自然最终table里的yy为空。

解决方法 #

需要在map的子搜索内部，直接把原始的xx、yy字段注入到子搜索结果中，同时修正rex的语法错误（缺少双引号）。修正后的完整搜索语句如下：

index=* "a.string" 
| rex field=_raw "(?P<xx>\S+) (?P<yy>\S+)" 
| map maxsearches=100 search="search index=* \"another.string\" AND $xx$ 
  | rex field=_raw \"(?P<zz>\S+)\"
  | eval xx=\"$xx$\"
  | eval yy=\"$yy$\""
| table xx, yy, zz

关键说明 #

1. 字段传递：在map的子搜索内通过eval xx="$xx$"和eval yy="$yy$"，直接将原始搜索的xx、yy字段值写入子搜索的结果中，确保最终结果包含这三个字段。
2. 语法修正：子搜索中的rex语句需要用转义双引号\"包裹正则表达式，避免Splunk解析语法错误。
3. 简化逻辑：不需要额外的临时字段替换操作，子搜索返回的结果直接包含所需的三个字段，后续直接用table展示即可。

内容的提问来源于stack exchange，提问作者John